ファストフードチェーンのChick-fil-Aは、攻撃者がクレデンシャルスタッフィング攻撃によって盗まれたパスワードを使いロイヤルティアカウントを乗っ取ったとして、顧客に注意を呼びかけています。
Chick-fil-Aによると、6月にChick-fil-A Oneアカウントの一部で不審なログイン活動を検知し、調査を開始したとのことです。その後の調査で、権限のない第三者が2026年6月17日から6月19日にかけて、過去のデータ侵害やその他の第三者ソースから入手したユーザー名とパスワードを使い、同社のウェブサイトおよびモバイルアプリに対して自動化されたクレデンシャルスタッフィング攻撃を行っていたことが判明しました。Chick-fil-Aは調査を進める傍ら、影響を受けたアカウントのパスワードをリセットし、アクティブなセッションを終了させたとしています。
クレデンシャルスタッフィングとは、犯罪者がある一つのサービスから盗み出したユーザー名とパスワードの組み合わせを使い、他の多数のウェブサイトやアプリで自動的にログインを試みて、そのまま使えるかどうかを確認する攻撃手法です。多くの人がパスワードを使い回しているため、攻撃者は従来型の意味で企業のシステムに直接侵入することなく、アカウントへのアクセス権を得てしまうケースが少なくありません。
そのため、この問題には二つの側面があると言えるかもしれません。一方では、複数のサイトでパスワードを使い回している顧客が、クレデンシャルスタッフィング攻撃を成功させやすくしている面があります。他方で、企業側にも、アカウントが侵害される前に自動化されたクレデンシャルスタッフィング攻撃を検知・阻止する対策を講じる責任があります。
攻撃の仕組み
仕組みを理解するために、典型的なシナリオを整理してみましょう。
- サイバー犯罪者は、過去のデータ侵害やダークウェブの市場、あるいは公開されたダンプデータから、侵害された認証情報の大量リストを入手します。
- 自動化ツールを使い、小売業者や銀行、ロイヤルティプログラムといった人気サービスのログインエンドポイントに対して、それらの認証情報を次々と試行します。
- 認証情報がそのまま使えたアカウントを乗っ取り、貯まっている残高や個人データ、ロイヤルティ報酬を吸い上げたり、そのアクセス権を他の犯罪者に転売したりします。
被害者からすれば、これは企業側での情報漏洩に見えるかもしれません。しかし技術的に言えば、サイバー犯罪者はすでに認証情報を持っており、そこに被害者に関する追加情報を組み合わせて自分たちのデータベースを充実させたにすぎません。
サイバー犯罪者はあなたについて何を知っているのか?
あなたの個人情報がオンライン上で流出していないか確認するには、Malwarebytesの無料デジタルフットプリントスキャンをご利用ください。
Chick-fil-Aの侵害通知によると、攻撃者は次のような情報の組み合わせにアクセスできた可能性があります。
- 氏名とメールアドレス。
- Chick-fil-A One会員番号とモバイル決済番号。
- アカウントに紐づくQRコード。
- アカウントに登録されているギフトカードや特典などのChick-fil-Aクレジット残高。
- 登録されているクレジットカードまたはデビットカード番号の下4桁。
Chick-fil-A Oneアカウントにさらに詳しい情報を登録していた場合、攻撃者は以下も閲覧できた可能性があります。
- 生年月日(月日)。
- 電話番号。
- 住所。
Chick-fil-Aの顧客へのアドバイス
本当の問題は、私たちが長年にわたって築き上げ、採用してきた「パスワード」という仕組みが、もはや多くの人にとってうまく機能しなくなっている点にあります。パスワードを使い回さないようにと呼びかけ、すべてのアカウントでユニークなパスワードを管理するためにパスワードマネージャーを使うよう勧めてきました。しかし多くの人にとって、パスワードマネージャーは依然として複雑で信頼しにくいものに映っているようです。残念ながら、パスキーについても同じことが言えるようになるのではないかと懸念しています。
Chick-fil-A Oneアカウントを持っている、あるいは持っていた可能性がある方は、通知の手紙を受け取っていなくても対策を講じるべきです。
- Chick-fil-A Oneアカウント用に、他のどこでも使っていない新しいユニークなパスワードを設定してください。また、同じパスワードを他のアカウントでも使っていた場合は、そちらも変更してください。
- アカウントがロックまたはリセットされてログインできない場合は、Chick-fil-Aの復旧手続きに従ってください。
- まだ設定していない場合は、多要素認証(MFA)を有効にしてください。Chick-fil-AはChick-fil-A Oneアカウントで、確認済みの携帯電話番号を使ったMFAをサポートしています。
- 攻撃者が流出したデータを悪用し、より説得力のあるフィッシングメッセージや詐欺を仕掛けてくる可能性がある点にも注意が必要です。
